企业 CI/CD：跨环境构建、扫描和升级容器

成熟的容器交付管道有一个共同的形状：推送到主节点触发开发构建；登台和产品升级是手动或门控的workflow_dispatch步骤；每个阶段都会更新 Argo CD 选择的 Kustomize newTag。图像标记有环境和提交 SHA（例如 prod-main-abc1234）以实现可追溯性。

安全门属于 CI，而不是生产：Trivy 扫描会阻止关键的 CVE，SBOM 附加到注册表元数据，并且供应链合规性越来越需要签名图像 (Cosign)。升级时重建会浪费时间并引入不确定性——相同的摘要应该从开发验证流向产品部署。

cloudstrata 为 Cloudstrata 托管的应用程序和客户端存储库提供可重用的 GitHub Actions 工作流程。这种模式——构建、扫描、推送、凹凸覆盖标签——是我们在不同环境中部署具有一致质量标准的 Velavela、企业站点和客户 API 的方式。